Eine Website, die der CNN-Homepage täuschend ähnlich sieht, fordert Besucher zum Herunterladen der „neuen CNN-App“ auf. Es handelt sich jedoch nicht um die CNN-App und sie hat auch nichts mit dem Nachrichtensender zu tun.
Die Kampagne beschränkt sich nicht auf CNN. Sie nutzt auch gefälschte Stremio- und Avast-Installationsprogramme, die auf ähnlich überzeugenden Webseiten gehostet werden und alle auf … abzielen. Windows Die Installationsprogramme sind Teil derselben Kampagne, die darauf abzielt, Benutzer zur Installation legitimer Fernverwaltungssoftware zu verleiten, die bereits mit dem Konto des Angreifers verknüpft ist.
Statt der erwarteten Software installieren die Opfer O&O Syspectr, ein legitimes, digital signiertes Fernwartungstool, das von IT-Teams zur Computerverwaltung eingesetzt wird. In den falschen Händen kann dieses Tool Angreifern Fernzugriff auf den PC des Opfers ermöglichen, sodass diese Befehle ausführen, zusätzliche Software installieren oder Dateien und Daten durchsuchen können. Die Köder von CNN, Avast und Stremio führen alle zum selben Syspectr-Konto.
Eine weitere, ähnlich aussehende Website verwendet ein gefälschtes Krypto-Mining-Browserspiel anstelle einer vertrauenswürdigen Marke, liefert aber dieselbe Software von einem anderen Syspectr-Konto aus.
Hier ist, was wir herausgefunden haben, warum Ihr Antivirenprogramm keinen Grund hat, es zu stoppen, und die eine 10-Sekunden-Prüfung, die es jedes Mal entdeckt hätte.
So sieht die gefälschte CNN-Seite aus
Die Seite kopiert die echte CNN-Startseite so detailgetreu, dass die meisten Nutzer sie nicht einmal bemerken würden. Sie bietet aktuelle Schlagzeilen, das gleiche Layout und sogar den roten Hinweis „Live-Updates“ bei einem echten Artikel. Fast sofort erscheint ein Pop-up: „Die neuesten Nachrichten zuerst in der neuen CNN-App – live und kostenlos“, darunter ein roter Download-Button.
Die Datei hinter diesem Button heißt CNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exe—das gleiche Syspectr-Installationsprogramm, das andernorts unter anderem Markennamen auftaucht, bis hin zur im Dateinamen eingebetteten Konto-ID.
Derselbe Trick, sich als andere Marken ausgeben.
Eine ähnliche Website unter avast-premium[.]shop Die Webseite ahmt die echte Downloadseite von Avast detailgetreu nach, inklusive Logo, Testberichten und einem blauen „Kostenloser Download“-Button für „Avast One“. Die zugehörige Datei trägt den Namen AVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe.
Eine weitere schädliche Website, stremiotv[.]online, kopiert Stremio, eine legitime Media-Center-App. Die Datei, die Besucher herunterladen sollen, heißt Stremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe.
Beide verwenden dieselbe Konto-ID, die im CNN-Installationsprogramm gefunden wurde.
Indem sie sich als vertrauenswürdige Marken ausgeben, verleiten die Angreifer Besucher dazu, das legitime Fernzugriffstool O&O Syspectr zu installieren, welches den Angreifern Fernzugriff auf die Computer der Opfer ermöglicht.
Eine andere Art von Köder
Allerdings benötigt nicht jeder Köder eine vertrauenswürdige Marke.
syncminer[.]xyz Stattdessen wird ein eigener Trick angewendet: ein Browserspiel namens „Idle Miner“, das einen langsam wachsenden Kryptowährungsbestand anzeigt, mit einem Button zum Herunterladen eines Miner-Plugins, der schnellere Auszahlungen verspricht. Die identische Website ist auch unter [URL einfügen] zu finden. idleminer[.]pro mit dem gleichen Layout, dem gleichen Spiel und dem gleichen Download.
Beide verteilen dieselbe Datei mit dem Namen oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exe ganz klar, mit einer eigenen Konto-ID, die sich von den Ködern von CNN, Avast und Stremio unterscheidet, die wir gesehen haben.
Es handelt sich nicht um Schadsoftware, weshalb Antivirenprogramme sie möglicherweise nicht erkennen.
Jede dieser Dateien ist eine echte, digital signierte Software der O&O Software GmbH, einem seriösen deutschen Unternehmen. Syspectr wird offen an IT-Abteilungen vertrieben und ermöglicht dem Anwender die Fernsteuerung des Desktops sowie den Zugriff auf die Kommandozeile mit Administratorrechten auf dem jeweiligen Installationsrechner.
Deshalb kann Antivirensoftware dies unter Umständen nicht verhindern. Antivirenprogramme sind darauf ausgelegt, Schadsoftware zu erkennen, nicht aber ein legitimes, signiertes Geschäftstool allein aufgrund seines Herkunftswegs auf dem Computer zu verdächtigen. Der Angreifer muss die Opfer lediglich dazu bringen, ein legitimes Fernwartungstool zu installieren, das bereits mit seinem Konto verknüpft ist.
Der 10-Sekunden-Check, der es verrät
An Windows Klicken Sie mit der rechten Maustaste auf ein beliebiges Installationsprogramm, wählen Sie „Eigenschaften“ und öffnen Sie die Registerkarte „Details“ . Zwei Felder – „Dateibeschreibung“ und „Produktname“ – identifizieren jedes von uns untersuchte Installationsprogramm als O&O Syspectr , zusammen mit einem Copyright-Vermerk für O&O Software GmbH.
Der Dateiname kann von jedem, der die Datei weitergibt, geändert werden, aber die eingebetteten Details stammen von der signierten Software selbst. Eine Änderung dieser Details würde die digitale Signatur ungültig machen, sodass sie den wahren Inhalt des Installationsprogramms offenbaren.
Wie wir wissen, dass diese miteinander verbunden sind
Jeder Syspectr-Installer enthält die Account-ID des Erstellers direkt im Dateinamen. Die Dateien mit den Brandings CNN, Avast und Stremio tragen alle dieselbe Account-ID , was darauf hindeutet, dass sie von einem einzigen Syspectr-Account erstellt und lediglich für verschiedene Köder angepasst wurden.
Der über das gefälschte Krypto-Mining-Spiel verbreitete Syspectr-Installer trägt eine andere Konto-ID, was darauf hindeutet, dass entweder ein zweiter Betreiber die gleiche Vorgehensweise verwendet oder dieselbe Gruppe unter einem anderen Konto operiert.
Was dieses Tool tatsächlich leisten kann
Syspectr ermöglicht IT-Administratoren die Fernverwaltung von Computern. Je nach Abonnementumfang können Systeminformationen angezeigt, laufende Prozesse und Dienste überwacht, Microsoft Defender verwaltet und USB-Geräte eingeschränkt werden.
Die kostenpflichtigen Pakete bieten die für Angreifer wichtigsten Funktionen. Sie ermöglichen es einem Angreifer, den Computer des Opfers fernzusteuern, Dateien zu durchsuchen, Befehle auszuführen, zusätzliche Software zu installieren und Systemänderungen vorzunehmen, als säße er direkt davor. Höhere Pakete bieten zusätzlich Tools zur Verwaltung einer großen Anzahl von Geräten und ermöglichen auf kompatibler Hardware sogar den Fernzugriff, wenn… Windows Startet nicht.
Diese Fernsteuerungsfunktionen sind in kostenlosen Syspectr-Konten nicht verfügbar. Sie erfordern ein kostenpflichtiges Konto. Premium Abonnement oder höher.
Antwort der O&O-Software
O&O reagierte umgehend. Innerhalb weniger Tage deaktivierte das Unternehmen den Remote-Desktop- und Remote-Konsolenzugriff für kostenlose Syspectr-Konten und beschränkte beides auf kostenpflichtige Tarife.
O&O hat die missbräuchlichen Konten identifiziert und gesperrt sowie die Hinzufügung neuer Geräte untersagt. Die Analyse von O&O ergab, dass die Angreifer ausschließlich die Remote-Konsole und nicht die Remote-Desktop-Verbindung nutzten. Das Unternehmen gibt an, weiterhin nach diesem Muster zu suchen und die Beschränkungen gegebenenfalls weiter zu verschärfen.
Das ist eine solide Reaktion, und O&O hat die Missbrauchsvorgänge eindeutig im Griff. Nicht jeder Anbieter reagiert so schnell und effektiv, wenn seine Software missbraucht wird.
Wie Sie sich schützen können
- Laden Sie Software ausschließlich von der offiziellen Website des Herstellers herunter. Suchergebnisse und Anzeigen können zu überzeugenden Fälschungen führen.
- Bevor Sie ein Installationsprogramm ausführen, bei dem Sie sich unsicher sind, Windows Sie können mit der rechten Maustaste darauf klicken, Eigenschaften > Details öffnen und die Felder Dateibeschreibung und Produktname überprüfen.
- Falls Sie O&O Syspectr installiert vorfinden und es nicht selbst eingerichtet haben, deinstallieren Sie es über Einstellungen > Apps und führen Sie einen vollständigen Virenscan durch.
- Falls Sie vor Kurzem ein solches Installationsprogramm ausgeführt haben, ändern Sie anschließend von einem sauberen System aus die Passwörter für alle Geräte, auf die Sie auf diesem Rechner zugegriffen haben.
- Schützen Sie sich beim Surfen im Internet. Malwarebytes Browser Guard blockiert bekannte Betrugsseiten und gefälschte Seiten, bevor Sie darauf gelangen.
Denkt daran
Gefälschte Downloadseiten verbreiten nicht immer Schadsoftware. Manchmal findet man dort legitime Software, die vom Verbreiter manipuliert wurde. Deshalb ist es wichtig, Software nur vom Originalhersteller herunterzuladen und bei Verdacht auf Schadsoftware den Inhalt des Installationsprogramms vor der Ausführung zu überprüfen.
Indikatoren für Kompromisse (IOCs)
Konto-ID 4693fd-d903-4791-8f58-975261c93ca2:
app.cnn-news[.]net→CNN_App.setupad4693fd-d903-4791-8f58-975261c93ca2.exeavast-premium[.]shop→AVAST_App.setup4693fd-d903-4791-8f58-975261c93ca2.exestremiotv[.]online→Stremio_App.setup4693fd-d903-4791-8f58-975261c93ca2.exe
Konto-ID 9158bf2a-ff25-4290-b96c-2dc5eb310391:
syncminer[.]xyz→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exeidleminer[.]pro→oo-syspectr-setup9158bf2a-ff25-4290-b96c-2dc5eb310391.exe
Beugen Sie Bedrohungen vor, bevor sie Schaden anrichten können.
Malwarebytes Browser Guard Phishing-Seiten und bösartige Websites automatisch. Kostenlos und mit nur einem Klick zu installieren. Zu Ihrem Browser hinzufügen →
